NICTER観測レポート2021の公開

図1は、1 IPアドレス当たりの年間総観測パケット数を2012年からグラフ化したものです。2021年の1 IPアドレス当たりの年間総観測パケット数は、前年の2020年と比べるとやや減少していることが分かります。

2021年の総観測パケット数は、2020年から約525億(約1割)減少しました(表1参照)。減少の要因としては、2020年に観測されたパケット数のバースト(大規模なバックスキャッタや、特定の国/ホストによる集中的な大量の調査スキャン)が2021年には観測されなかったことなどが挙げられます。2018年頃から続いている海外組織からの調査目的とみられるスキャンは2021年も多く観測され、総観測パケットの約57.4%を占めました。なお、今回、年間総観測パケット数の集計方法の見直しを行ったため、2021年以前の年間総観測パケット数についても修正しています。

このような調査目的のスキャンパケットを除いた上で、2021年にNICTERで観測した主な攻撃対象(宛先ポート番号)の上位10位までを表したものが図2です。円グラフの青色の部分が、WebカメラやホームルータなどのIoT機器に関連したサイバー攻撃関連通信です。

上位10位までのポートが全体に占める割合は、2020年と同様に減少傾向にあり、2020年の37.1%から31.3%へと減りました。一方で、その他のポート(Other Ports)の占める割合は、2019年の49.6%、2020年の62.9%から更に増加し、2021年は68.7%になりました。多くのポート番号から成るポートセットを攻撃対象とするボットネットの活動が2020年に引き続き観測されていることや、大規模調査スキャンとして判定されないスキャンパケットの増加が背景にあると考えられます。

また、Windows関連の観測傾向としては、2020年は上位10位中に3ポート見られたWindows関連のポートが445/TCP(ファイルやプリンタの共有で使われる)のみとなり、その順位も2020年の2位から3位へと後退しました。一方で、Linux関連の複数のポートが上位10位に入り、NoSQLデータベースのRedisで使われる6379/TCP、時刻サーバNTPの123/UDP、コンテナ型仮想実行環境を提供するDockerにおいて遠隔管理の機能を提供するDocker REST APIの2375/TCPが観測されました。

そのほか、2021年に特徴的な観測事象としては、特徴的なポートセットでスキャン活動を行うマルウェアの活動や、トンネリングプロトコルの1つであるGREプロトコルのパケットを送信するホスト数の急増が世界的に観測されました。日本国内においては、複数の国産ブロードバンドルータがIoTマルウェアへ感染する中、一部の機器では自動更新機能により最新版ファームウェアが適用されているにもかかわらず、感染が継続する事象を確認しました。DRDoS攻撃の観測では、複数のサービスを同時に悪用するマルチベクタ型の攻撃が引き続き多く観測されたほか、攻撃対象の分散化といった攻撃を複雑にする様子が確認されました。また、単一のIPアドレスではなくネットワーク全体を狙った絨毯爆撃型DRDoS攻撃が増加した影響により、累計の攻撃件数が2020年の約3,120万件から約6,795万件へと倍増しました。

インターネット全体を広範囲にスキャンすることで脆弱性を抱えたまま運用されているIoT機器やサーバ等を探索する活動が活発に観測される一方で、マルウェア感染を目的とし、脆弱性を悪用する攻撃コードのばらまきも活発に観測されています。感染の未然防止や被害の拡大防止に向け脆弱性対策を迅速に行うことが、ますます重要になっています。

NICTでは、日本のサイバーセキュリティ向上のため、CYNEXが産学官の結節点となり、サイバーセキュリティ関連情報の発信力の更なる強化を行うとともに、セキュリティ対策の研究開発を進めてまいります。